Recursos corporativos

Detección y reacción ante el uso irregular de
Recursos Corporativos
Henry Velásquez
Yanez
Detección y reacción ante el uso irregular de Recursos
Corporativos
Consideraciones Previas:
Principios de Proporcionalidad.
Implantación de Controles y
Monitorización.
Controles y Monitorización:
Objetivos.
Detección y dimensionamiento
del uso indebido: Medios de
Producción, redes sociales
corporativas, BYOD.
Uso Responsable: BYOD.
Casos más comunes de usos
indebidos y su tratamiento y
gestión.
Riesgos.
Posturas oficiales.
Cambio Jurisprudencial.
Evidencias Electrónicas.
Consideraciones Previas
PRINCIPIOS LOPD
Proporcionalidad (art 4 LOPD).
•
Información (art 5 LOPD).
•
Consentimiento (art. 6 LOPD).
•
Medidas de Seguridad (art. 9
LOPD).
•
Deber de Secreto (art. 10
LOPD).
•
Implantación de Controles y Monitorización
Controles
preventivos.
•
Controles correctivos.
•
Monitorización.
•
Controles y Monitorización: Objetivos
Evitar fugas de información confidencial.
•
Evaluación del rendimiento y desempeño laboral.
•
Evaluación del cumplimiento de políticas y normativa aplicable
•
Registro de las actividades como la prueba de la conducta personal
impropia (evidencia electrónica).
•
Control de calidad durante la prestación de servicios de atención al
cliente.
•
Revisión de las habilidades y competencias del personal empleados
en su trabajo.
•
Revisión del cumplimiento de las normas de salud y seguridad.
•
Detección de conductas irregulares, ilícitas, etc.
•
Controles y Monitorización: Medios de Producción.
Control de accesos (log in/log out).
•
Control sobre navegación en Internet.
•
Monitorización de los programas utilizados en el ordenador por parte del
empleado.
•
Log de trazabilidad de acciones efectuadas por el usuario.
•
Copia de la información enviada a través de los servicios que hayamos
configurado, normalmente e-mail, Chat y mensajería instantánea.
•
Supervisar el rendimiento del personal
•
Aplicaciones de monitor en marcha
•
Monitorización de archivos descargados del personal.
•
Monitorización de archivos copiados en medios extraíbles (USB, MMC,
etc.).
•
Monitor de pulsaciones de teclado mecanografiado.
•
Control de actividad en casos de tele-trabajo.
•
Visualización de pantallas de cada ordenador con el fin de ver que
información está mostrando cada cierto tiempo.
•
Evaluación del desempeño laboral.
•
Controles y Monitorización: Redes Sociales Corporativas.
Mecanismos de control, que permiten disminuir el riesgo de que se incluyan mensajes o comentarios que pudieran
considerarse infracciones normativas, dentro de las zonas públicas de la Red Social, en el supuesto de redes sociales
corporativas-abiertas.
(i) Prohibición de iniciar “Temas de discusión” o “Debates” que pudieran constituir cualquier
tipo de infracción normativa;
(ii) Prohibición de publicar contenidos (noticias, eventos, anuncios en tablón), que pudieran
suponer una infracción normativa;
(iii) Informar al usuario sobre su responsabilidad en cuanto a legalidad y licitud de los
contenidos, imágenes, comentarios, datos personales de terceros, incorporados por éste a
la red social corporativa.
(iv) Utilizar los mecanismos de denuncia, puestos a su disposición, en caso de advertir
cualquier comportamiento anómalo, irregular o que pudiera contravenir lo dispuesto en la
normativa aplicable y los Términos y Condiciones de Uso”.
(v) Convendría activar mecanismos de control tales como: aplicaciones informáticas para filtrar
contenidos, aplicaciones anti-spam y mecanismos de denuncia, a fin de detectar mensajes
o comentarios irregulares emitidos en las zonas públicas;
(vi) Ejecutar acciones de revisión periódica, proactiva y de monitorización sobre los contenidos
y/o comentarios emitidos en las zonas públicas de la red social corporativa.
(vii) Ejecutar acciones para mitigar el impacto de incidentes detectados que pudieran suponer
alguna infracción normativa.
(viii)Supresión de contenidos infractores, suspensión o bloqueo de usuarios falsos.
Controles y Monitorización: BYOD.
La problemática: Implantación de controles en dispositivos de uso personal del
empleado que incorporan información corporativa.
(i) Información sensible perteneciente a la empresa, fuera de los límites
de control habituales, en dispositivos de uso corporativo y personal.
(ii) Convivencia de múltiples plataformas: soporte especializado para
cada una de ellas, herramientas específicas que se adapten a las
distintas tecnologías.
(iii)Necesidad de personal de soporte formado en dispositivos cada vez
más avanzados.
(iv)Entorno
cambiante
rápidamente:
nuevas
aplicaciones
y
funcionalidades.
Cómo extrapolar las políticas de seguridad a dispositivos móviles.
(v)Cómo controlar el uso y acceso de los dispositivos.
Uso Responsable: BYOD (i).
RECOMENDACIONES PREVIAS:
Ø Establecer procedimientos de control y protección lógica del acceso y conexión a
los sistemas de información corporativos, así como a los mecanismos de
autenticación/identificación de los usuarios, implementados para controlar el acceso
a tales sistemas, por parte de los empleados/colaboradores, a través de sus
dispositivos personales.
Ø Implementar mecanismos que proporcionen control, seguridad y permitan el
cifrado de las comunicaciones, a fin de facilitar la conectividad del dispositivo desde
lugares externos a los sistemas de información corporativa, así como la
implantación de protocolos de comunicaciones seguros impidan la interceptación de
comunicaciones y/o el robo de credenciales.
Ø Establecer procedimientos de protección lógica de la información que se
almacena en el dispositivo de uso personal, por ejemplo, a través de mecanismos
criptográficos que permitan garantizar que, ante posibles pérdidas de información o
robo del dispositivo, no habrá fugas de información.
Uso Responsable: BYOD (ii).
RECOMENDACIONES PREVIAS:
Ø Establecer procedimientos adecuados para la gestión de posibles incidencias.
ØConfigurar sistemas de monitorización basados en la detección de anomalías,
tanto a nivel de conexiones y accesos a los sistemas de información, como en el
uso y tratamiento de la información corporativa, teniendo especial precaución de
no interferir en el uso particular del dispositivo por parte del empleado y por tanto
poner en riesgo su intimidad.
ØSeleccionar soluciones tecnológicas complementarias que contribuyan a
reforzar la integración segura entre los sistemas de información corporativos y el
dispositivo de uso personal del empleado/colaborador (por ejemplo, Mobile Device
Management, Firewall, Antimalware/Antivirus, DLP, Filtrado de contenido web,
VPN, Autenticación de doble factor).
Uso Responsable: BYOD (iii).
Medidas de Seguridad RLOPD: En la medida en que la información corporativa integrada
en los dispositivos de uso personal, pueda incorporar datos de carácter personal, deberán aplicarse
las medidas de seguridad contempladas en el RLOPD, de acuerdo con el nivel de seguridad
asignado a los datos objeto del tratamiento.
A tal efecto, a continuación se detallan las medidas de seguridad que podrían resultar de aplicación al
supuesto planteado:
Ø
Régimen de trabajo fuera de los locales del
responsable del fichero o encargado del tratamiento
(Art. 86 RLOPD
Ø
Funciones y obligaciones del personal. (Art. 89
RLOPD).
Ø
Registro de incidencias (Art. 90 RLOPD).
Ø
Control de acceso (Art.91 RLOPD).
Ø
Gestión de soportes (Art. 92 RLOPD).
Ø
Identificación y autenticación (Arts. 93 y 98 RLOPD).
Ø
Copias de respaldo y recuperación (Art. 94 RLOPD).
Ø
Registro de accesos (Art. 103 RLOP).
Ø
Telecomunicaciones (Art. 104 RLOPD).
Uso Responsable: BYOD (iv).
Soluciones Tecnológicas: Capacidad de gestionar y dar soporte a aplicaciones móviles,
datos y sistema operativo
q
q
q
q
q
q
q
q
q
q
Configuración
Actualizaciones
Parches
Respaldo
Aprovisionamiento
Monitorización SW
Hosting
Gestión de Plataformas Móbiles (MEAPs)
Desarrollo
Sincronización en segundo plano
Uso Responsable: BYOD (v).
Gestión de la Seguridad: Implantación de medidas de seguridad sobre el dispositivo, así
como autenticación y encriptación
q
q
q
q
q
q
q
q
q
Borrado remoto
Bloqueo remoto
Configuración Segura
Obligación de uso de credenciales
Encriptación
Autenticación
Antivirus
VPN Móvil
Firewall
Uso Responsable BYOD: Metodología.
Casos Comunes de Usos Indebidos
Vulneración de la confidencialidad y
seguridad de la información.
•
Revelación
indebida
de
secretos
empresariales.
•
Acceso a Páginas Web que pudieran
comprometer
la
seguridad
de
la
información.
•
Tratamiento excesivo y/o acceso indebido a
información clasificada y/o a datos de
carácter personal.
•
Utilización de aplicaciones que permitan el
intercambio de archivos sin el control
adecuado.
•
Uso de correo electrónico sin las diligencias
debidas.
•
Uso
inapropiado
de
mensajería
instantánea.
•
Malware en red corporativa.
•
Uso indebido de los recursos corporativos
para actividades ilícitas o que pudieran
vulnerar la normativa aplicable.
•
Etc.
•
RIESGOS (I)
Pérdidas Económicas Directas
RIESGOS (II)
Pérdidas de imagen o valor de marca, reputación
RIESGOS (III)
Pérdida de Información Corporativa, propiedad intelectual
o industrial
RIESGOS (IV)
La implantación de mecanismos de control
podrían conllevar una serie de riesgos derivados de
la vulneración de los derechos fundamentales de los
trabajadores.
Denuncia del trabajador por descubrimiento y
revelación de secretos (Art. 197 y siguientes del
Código Penal)
ü
En caso de que se haya sancionado o despedido al
empleado: despido nulo por
vulneración de los
derechos fundamentales.
ü
Denuncia del empleado por tratamiento ilegítimo de
sus datos (Ley Orgánica de Protección de Datos).
ü
Posturas Oficiales (i).
TSJ Cataluña (Sala de lo Social) Sentencia 31 de julio de 2003.
DESPIDO PROCEDENTE. Faltas reiteradas de puntualidad y uso indebido de internet durante la jornada. Se
acreditan las faltas reiteradas de puntualidad que tras un cambio de dirección de la empresa deja de permitir
incorporarse una hora más tarde al trabajo. Trabajadora a la que se le advirtió de cumplir con el horario que desde el
inicio se había pactado. Por el contrario en cuanto al uso indebido de internet, que también le imputa la empresa, no
se observa gravedad en la conducta, primero porque la empresa había proporcionado a la trabajadora un ordenador
con acceso a internet sin haberle dado instrucciones expresas sobre su utilización, y segundo porque, pese a la
espectacularidad de la carta al consignar gran número de páginas web visitadas, no consta ni el tiempo invertido en
cada consulta ni que todas las consultas fueran para cuestiones ajenas a la actividad laboral.
TSJ Castilla y León de Valladolid (Sala de lo Social) Sentencia 8 de noviembre de 2004.
DESPIDO PROCEDENTE. Trabajador que usa del ordenador de la empresa los días laborales durante un tiempo
excesivo para a las páginas deportivas, prensa ordinaria, juegos y páginas musicales con descarga de archivos de
internet. Uso particular de un instrumento de trabajo para fines distintos de los que son propios de su actividad laboral
de forma desmedida y sin autorización alguna por parte de la empleadora. Abandono de sus funciones durante el
tiempo de trabajo.
9. TSJ Cataluña (Sala de lo Social) Sentencia 6 de mayo de 2005.
DESPIDOS PROCEDENTES. Incumplimiento grave y culpable. Trabajadores que se sirvieron de internet, tanto para
mantener varias páginas abiertas, como para intervenir en un chat durante tres jornadas de trabajo consecutivas.
Empresa dedicada a la atención telefónica e informática que tenía establecida la prohibición de hacer uso privado de
internet. Prohibición recogida en un aviso expuesto en el centro, que venía notificándose a cada trabajador desde
hacía dos años y además todos los trabajadores la venían respetando.
Posturas Oficiales (ii).
TS (Sala 4.ª) Sentencia 28 de junio de 2006.
DESPIDO IMPROCEDENTE. Uso de internet en el trabajo para fines personales. Falta de prohibición específica
por parte del empleador. Ámbito privado y particular del trabajador y vulneración de su derecho a la intimidad.
RECURSO DE CASACIÓN PARA LA UNIFICACIÓN DE DOCTRINA. Falta de identidad sustancial entre los
hechos de las sentencias comparadas. La sentencia recurrida trata de un trabajador que utilizó el acceso a
internet y el correo electrónico de la empresa para fines privados, entre ellos la consulta de páginas pornográficas
o la participación en chats, entendiéndose que estaba autorizado por la empresa, por lo que la investigación
practicada incidía en el derecho a la intimidad, siendo ilícita la prueba practicada. En la referencial la causa de la
decisión que estimó el despido procedente fue la transgresión de la buena fe contractual y el abuso de confianza
que suponía el tiempo dedicado a la navegación por internet ajena al trabajo, superior a hora y media diaria.
TSJ Madrid (Sala de lo Social) Sentencia 10 de octubre de 2006.
DESPIDO DISCIPLINARIO. Improcedencia. Trabajador despedido por visitar en la red páginas ajenas al trabajo.
Inexistencia de norma interna de la empresa que prohíba el uso privado de internet. No constituye falta muy grave
sancionable con el despido al no quedar acreditado el perjuicio sufrido por la empresa. DESPIDO NULO. No
procede. La voluntad extintiva por la comisión de los hechos sancionables se manifiesta como razonablemente
ajena a todo móvil atentatorio de derechos fundamentales.
El TSJ Madrid estima el recurso de suplicación interpuesto por el trabajador contra la sentencia de instancia que
calificaba el despido disciplinario como procedente.
TSJ País Vasco (Sala de lo Social) Sentencia 23 de enero de 2007.
DESPIDO PROCEDENTE. TRANSGRESIÓN DE LA BUENA FE CONTRACTUAL. Auxiliar administrativa que
utilizaba el ordenador de la empresa para actividades lúdicas y ajenas al trabajo, estando gran parte de la
memoria del ordenador ocupada por programas ajenos al trabajo. DERECHO A LA INTIMIDAD. No se vulnera el
derecho a la intimidad y dignidad del trabajador por la inspección del ordenador que se realizó con todas las
garantías, en presencia de un delegado de los trabajadores y otros dos trabajadores.
Posturas Oficiales (iii).
TS (Sala 4.ª) Sentencia 26 de septiembre de 2007.
DERECHO A LA INTIMIDAD. Vulneración. Despido de trabajador al que, al reparar su ordenador por un virus, se le
encuentran archivos temporales de páginas pornográficas visitadas en internet. Determinación de los límites del control
empresarial sobre un ámbito que, aunque vinculado al trabajo, pueda afectar a la intimidad del trabajador. El control del
uso del ordenador facilitado al trabajador por el empresario no se regula por el artículo 18 sino por el artículo 20.3 del
Estatuto de los Trabajadores. Actuación empresarial que en lugar de limitarse al control y eliminación del virus siguió con el
examen del ordenador. Inexistencia de información a los trabajadores de prohibiciones absolutas o parciales en el uso del
ordenador
TS (Sala 4.ª) Sentencia 6 de Octubre de 2011.
Se produce un despido disciplinario por contravenir la trabajadora una prohibición expresa del empresario de usar los
ordenadores para fines propios, tanto dentro como fuera del horario de trabajo. Lo decisivo a efectos de considerar la
vulneración del derecho a la intimidad es la tolerancia de la empresa que crea una "expectativa de confidencialidad" y, por
ende, la posibilidad de un exceso en el control llevado a cabo por el empleador que vulnere el derecho fundamental de la
intimidad del trabajador. Pero si hay prohibición de uso personal deja de haber tolerancia y ya no existirá esa expectativa,
con independencia de la información que la empresa haya podido proporcionar sobre el control y su alcance.
Esfera Personal en el Ámbito Laboral
Cambio jurisprudencial:
Ordenador equiparado a
taquilla y efectos
personales del trabajador (Art. 18 ET)
STS, de 26 de septiembre
de 2007
Los recursos electrónicos que el empleador pone a
disposición del trabajador son propiedad de la
empresa . Ésta los facilita para utilizarlos en el
cumplimiento de la prestación laboral, por lo que
esa utilización queda dentro del ámbito del poder
de vigilancia del empresario (art. 20.3 ET)
Esfera Personal en el Ámbito Laboral
CONSECUENCIAS DEL CAMBIO JURISPRUDENCIAL:
ü
ü
ü
ü
El trabajador no tiene que estar presente ni tiene que
ser notificado en el momento en el que se vaya a
realizar un control de los recursos electrónicos. (STS
de 6 de octubre de 2011)
No resulta necesaria la presencia física de
representantes legales o de testigos.
No es necesario que se lleve a cabo en el centro de
trabajo ni dentro del horario laboral.
Implantación de normas concretas de uso
de los recursos electrónicos corporativos
indicando la posibilidad de controlar y de los
medios de control que adoptará para las oportunas
comprobaciones que en su caso realice.
Acciones ante Uso Indebido
Sanciones
Disciplinarias
(art. 58 ET)
Despido
Disciplinario
(art. 54 ET)
- Tipicidad de las sanciones
- Graduación y Proporcionalidad
- Posibilidad de recurrir las sanciones
impuestas
- Incumplimiento contractual.
- Incumplimiento grave.
- Incumplimiento culpable.
CAUSA: La transgresión de la buena
fe contractual, así como el abuso de
confianza en el desempeño del trabajo
Evidencias Electrónicas (i)
OBJETO: Su utilización como prueba válida en los
procedimientos judiciales.
ü
ü
ü
ü
ü
Realización de una imagen forense (completa e
inalterable)
Realización por un experto independiente (p.e Perito
Informático).
Supervisión del procedimiento por un testigo (p.e
Notario)
Documentar todo el proceso de obtención de
evidencias y de la cadena de custodia.
Análisis forense no intrusivo para respetar la intimidad
de los afectados (búsquedas ciegas).
Evidencias Electrónicas (ii)
•Fotografías del ordenador portátil,
identificando marca/modelo/serie/etc.
•Fotografía del disco duro interno
extraído del portátil identificando
marca/modelo/serie/etc.
•Fotografía de Disco duro virgen
utilizado para la clonación, identificando
sus características.
Evidencias Electrónicas (iii)
Fotografías del dispositivo de
clonación
íntegra,
identificando
marca/modelo/serie/etc.
•
Fotografía
del
dispositivo
de
clonación en cuya pantalla se
comprueba la finalización del
procedimiento mediante el mensaje
“Compare OK: 1”, que indica que el
proceso de copiado integral se ha
completado sin problemas; así como
los mensajes “Fail: 0” y “Diff: 0”, que
indican que la clonación se ha
realizado
sin
errores
ni
irregularidades.
•
Uso Responsable de Recursos Corporativos
Muchas gracias
¿Alguna pregunta?
[email protected]
C/Quintanavides, 19. Edificio 4.Planta ·E.
28050
(+34) 91 001 67 67
@Ecixgroup